Partitionierung: gesamte Festplatte, LVM, verschlüsselt

[ehnd]

Bei der Partitionierung während der Installation von Debian Lenny gibt es u.a. die Auswahlmöglichkeit: geführt, gesamte Festplatte, LVM, verschlüsselt. Die Option habe ich für die Installation auf meinem Laptop (für den mobilen Einsatz) gewählt. Allerdings fühle ich mich gerade etwas verloren/unsicher.

Was genau "passiert" (bzgl. der Verschlüsselung), wenn ich diese Option auswähle?

Wird alles verschlüsselt (bis auf /boot)? (hab im späteren Schritt ausgewählt, dass ich den /home-Teil auf einer eigenen Partition haben will - falls das von Bedeutung ist)
Ist das die empfohlene Verschlüsselung, oder sollte man eine andere Methode verwenden?

Wie kann ich nach der Installation nachschauen, ob auch alles geklappt hat? Das einzige, was ich derzeit von der Verschlüsselung bemerke, ist die Schlüssel-Eingabeaufforderung während des Hochfahrens.

Was muss man beachten?
Standby, Ruhemodus - alles wie gewohnt oder hat die Verschlüsselung einen Einfluß darauf? Klappt generell irgendwas im laufendenen Betrieb nicht, was ohne Verschlüsselung funktionieren würde? Sollte man gewisse Dinge unterlassen?

Was passiert, wenn man den Schlüssel mehrmals falsch eingibt? Oder hat man beliebig viele Versuche?

Gibt es die Möglichkeit, statt der manuellen Eingabe zB einen USB-Stick als Key zu verwenden? Mein Schlüssel ist über 20 Zeichen lang und kryptisch - und da ich den Laptop nicht soo oft verwende, werd ich den nicht auswendig können.

Kann man den Schlüssel (einfach?) ändern?

Droht durch die Verschlüsselung erhöhter Datenverlust, wenn zB der Laptop abstürzt / mangels Akku ausgeht?

Szenario:
angenommen ich sperre den Bildschirm und mein Laptop wird dann geklaut. Hat der Dieb eine Chance, Zugriff zu erlangen? (natürlich weiß er weder das Benutzerpasswort noch den Entschlüsselungsschlüssel) Also, gibt es da eine (gewollte) Möglichkeit - und sollte ich daher lieber den Laptop immer ausschalten, statt den Bildschirm zu sperren, um sicher zu gehen?

Sollte ich irgendwann mal in die Lage kommen, von außen auf die Festplatte zugreifen zu müssen (von LiveCD aus zB): besteht die Chance, oder ist das generell wegen der Verschlüsselung nicht möglich? (meine natürlich, wenn man den Schlüssel kennt)

Vielen Dank.

[ChaosStar]

Szenario:
angenommen ich sperre den Bildschirm und mein Laptop wird dann geklaut. Hat der Dieb eine Chance, Zugriff zu erlangen? (natürlich weiß er weder das Benutzerpasswort noch den Entschlüsselungsschlüssel) Also, gibt es da eine (gewollte) Möglichkeit - und sollte ich daher lieber den Laptop immer ausschalten, statt den Bildschirm zu sperren, um sicher zu gehen?

Die Sperre (ich gehe mal davon aus dass Du KDE/nome nutzt), dient nur dem optischen Schutz. Sicher ist dieser keineswegs. Er soll eben seinen Zweck erfuellen, unberechtigte fuer die Dauer eines kurzen Augenblicks davon abhalten unbefugt etwas am Desktop anzurichten.

Sobald dieser Unberechtigte mit etwas Hardwarekommt sieht es schlecht aus. Er braucht nur die Bildschirmsperre zu unterbrechen und schon ist er drin. Zudem sind deine Daten zur Laufzeit entschluesselt und somit aber auch mit Hilfsmitteln zugaenglich. Eine Vollverschluesselung der Partition schuetzt, wenn der Rechner aus ist fuer den alltaeglichen Gebrauch ganz gut. Aber auch diese kann umgangen werden (Keylogger, Imageerstellung (Angeblich der BKA Bundestrojaner Weg), oder Einschlaeussen von Softwaere die man selber freiwillig installiert (unwissentlich).
Aber das ist ein anderes Thema. Ich hoffe ich konnte dir fuer den letzten Teil etwas helfen.

[arezar]

Was genau "passiert" (bzgl. der Verschlüsselung), wenn ich diese Option auswähle?

Wird alles verschlüsselt (bis auf /boot)? (hab im späteren Schritt ausgewählt, dass ich den /home-Teil auf einer eigenen Partition haben will - falls das von Bedeutung ist)
Ist das die empfohlene Verschlüsselung, oder sollte man eine andere Methode verwenden?

Dann wird das gesamte System bis auf /boot wie du schon gesagt hast verschlüsselt. /boot kann wegen des Bootloaders Grub nicht verschüsselt werden da er das nicht unterstützt. Es ist in jedem Fall empfohlen den swap neben /home ebenfalls zu verschlüsseln da durch eine eventuelle Auslagerung einer sensiblen Datei in den Auslagerungsspeicher diese trotz Verschlüsselung ausgelesen werden kann. Und ab dann kann man auch das gesamte System verschlüsseln.

Was muss man beachten?
Standby, Ruhemodus - alles wie gewohnt oder hat die Verschlüsselung einen Einfluß darauf? Klappt generell irgendwas im laufendenen Betrieb nicht, was ohne Verschlüsselung funktionieren würde? Sollte man gewisse Dinge unterlassen?

Standby und Ruhemodus funktionieren nicht bei einem verschlüsseltem Swap außer es hat sich seit Lenny daran was geändert.

Was passiert, wenn man den Schlüssel mehrmals falsch eingibt? Oder hat man beliebig viele Versuche?

3 Versuche wenn ich mich recht entsinne. Mein Schlüssel hat auch 34 Stellen aber den kann ich auswendig wodurch ich keinen USBStick brauche.

Gibt es die Möglichkeit, statt der manuellen Eingabe zB einen USB-Stick als Key zu verwenden? Mein Schlüssel ist über 20 Zeichen lang und kryptisch - und da ich den Laptop nicht soo oft verwende, werd ich den nicht auswendig können.

Die gibt es, allerdings hab ich das selber noch nicht ausprobiert.

Kann man den Schlüssel (einfach?) ändern?

Dürfte nicht so ohne weiteres möglich sein da mit dem Schlüssel sämtliche Dateien auf dem Dateisystem verschlüsselt werden.

Droht durch die Verschlüsselung erhöhter Datenverlust, wenn zB der Laptop abstürzt / mangels Akku ausgeht?

Wenn bei dem Absturz, Stromausfall, Akku leer Szenario nicht massiv Schreibzugriffe auf die Festplatte erfolgen, dürfte das keine Probleme machen bzw. ich hatte noch keine Probleme damit obwohl bei uns öfter mal die Sicherung fliegt. Gut tut es dem System mit Sicherheit nicht und man muss in Kauf nehmen dass dann ein kompletter Filesystemcheck durchläuft was einige Zeit brauchen kann.

Sollte ich irgendwann mal in die Lage kommen, von außen auf die Festplatte zugreifen zu müssen (von LiveCD aus zB): besteht die Chance, oder ist das generell wegen der Verschlüsselung nicht möglich? (meine natürlich, wenn man den Schlüssel kennt)

Mittels einer LiveCD (Knoppix oder Fedora Live) dürfte das auch grafisch möglich sein. Hab das glaub ich schon mal mittels einer Fedora Live CD gemacht.

Oder aber auf der Kommandozeile:

Code: Alles auswählen

cryptsetup-luks luksOpen /dev/hdaX <devicename>
mount /dev/mapper/<devicename> /mountpoint

Wobei /dev/hdaX durch dein Devicenummer zu ersetzen ist, bei mir ist das /dev/hda5. Hab ich jetzt aus dem Linux Magazin 10/06 wo es um die Vollverschlüsselung eines Debian Systems, allerdings noch ein Sarge wo es noch keine Möglichkeit einer vollständig verschlüsselten Installation geht. Den Artikel dazu findest du hier:

http://www.linux-magazin.de/heft_abo/au ... category=0

Hier noch ein Vergleichstest zwischen verschiedenen Verschlüsselungsarten unter Linux. Nicht mehr ganz taufrisch aber evtl. trotzdem informativ.

http://www.linux-magazin.de/heft_abo/au ... category=0

[Danielx]

Hallo!

Wird alles verschlüsselt (bis auf /boot)? (hab im späteren Schritt ausgewählt, dass ich den /home-Teil auf einer eigenen Partition haben will - falls das von Bedeutung ist)

Es wird alles verschlüsselt, also /, /home, Swap, lediglich /boot bleibt unverschlüsselt.

Ist das die empfohlene Verschlüsselung, oder sollte man eine andere Methode verwenden?

Die Methode ist ok.
Allgemeiner Hinweis: Die gesamte Festplatte wird hierbei gelöscht!

Wie kann ich nach der Installation nachschauen, ob auch alles geklappt hat? Das einzige, was ich derzeit von der Verschlüsselung bemerke, ist die Schlüssel-Eingabeaufforderung während des Hochfahrens.

Dann hat es funktioniert.

Standby, Ruhemodus - alles wie gewohnt oder hat die Verschlüsselung einen Einfluß darauf?

Alles wie gewohnt.

Klappt generell irgendwas im laufendenen Betrieb nicht, was ohne Verschlüsselung funktionieren würde?

Da fällt mir nichts ein.

Was passiert, wenn man den Schlüssel mehrmals falsch eingibt? Oder hat man beliebig viele Versuche?

Beliebig viele Versuche.

Gibt es die Möglichkeit, statt der manuellen Eingabe zB einen USB-Stick als Key zu verwenden?

Ja, gibt es.

Kann man den Schlüssel (einfach?) ändern?

Ja, kann man ändern.
Du kannst auch mehrere Schlüssel und/oder Key-Files anlegen.

Droht durch die Verschlüsselung erhöhter Datenverlust, wenn zB der Laptop abstürzt / mangels Akku ausgeht?

Es handelt sich um eine Blockverschlüsselung, d.h es geht maximal ein Block kaputt, also kein größerer Datenverlust zu befürchten, verglichen mit einem unverschlüsselten Dateisystem.

Szenario:
angenommen ich sperre den Bildschirm und mein Laptop wird dann geklaut. Hat der Dieb eine Chance, Zugriff zu erlangen? (natürlich weiß er weder das Benutzerpasswort noch den Entschlüsselungsschlüssel) Also, gibt es da eine (gewollte) Möglichkeit - und sollte ich daher lieber den Laptop immer ausschalten, statt den Bildschirm zu sperren, um sicher zu gehen?

Wenn er den Bildschirmschutz irgendwie umgehen kann, kommt er an deine Daten ran, ich kenne aber keine Möglichkeit diesen Bildschirmschutz zu umgehen.
Eine Ausnutzung von evtl. vorhandenen Schwachstellen in diversen Treibern, z.B. durch Anschluss eines "feindlichen" USB-Sticks kann es ermöglichen root-Rechte zu erlangen, dann kommt er an deine Daten ran.
Oder eben das berühmte Öffnen des laufenden Rechners zwecks Einfrieren des RAM mit Kältespray, dann kann man den RAM gemütlich nach dem Key durchsuchen, das ist kein Scherz:
http://citp.princeton.edu/memory/
Wenn du sicher gehen willst, den Rechner ausschalten oder Suspend-to-disk verwenden.

Sollte ich irgendwann mal in die Lage kommen, von außen auf die Festplatte zugreifen zu müssen (von LiveCD aus zB): besteht die Chance, oder ist das generell wegen der Verschlüsselung nicht möglich? (meine natürlich, wenn man den Schlüssel kennt)

Ist möglich.

Er braucht nur die Bildschirmsperre zu unterbrechen und schon ist er drin.

Wie geht das denn?
Mir ist da keine Möglichkeit bekannt.

Standby und Ruhemodus funktionieren nicht bei einem verschlüsseltem Swap außer es hat sich seit Lenny daran was geändert.

Das funktioniert!
Und zwar nicht erst seit Lenny, sondern auch schon unter Etch.

3 Versuche wenn ich mich recht entsinne.

Wenn du den Rechner aus und wieder einschaltest, beginnen diese drei Versuche aber von Neuem, also praktisch unbegrenzt viele Versuche.

Dürfte nicht so ohne weiteres möglich sein da mit dem Schlüssel sämtliche Dateien auf dem Dateisystem verschlüsselt werden.

Doch ist möglich, da mit dem Benutzer-Schlüssel lediglich der Master-Key verschlüsselt wird.
Mit diesem Master-Key sind dann die Daten verschlüsselt.
Es wird also immer nur das Passwort bzw. das Key-File geändert, mit dem der Master-Key selbst verschlüsselt ist.
Den Master-Key kennt der Benutzer gar nicht und er wird bzw. kann auch niemals geändert werden.

Gruß,
Daniel

[ehnd]

Vielen Dank soweit, ChaosStar, arezar und Danielx.

Die Sperre (ich gehe mal davon aus dass Du KDE/nome nutzt), dient nur dem optischen Schutz. Sicher ist dieser keineswegs. Er soll eben seinen Zweck erfuellen, unberechtigte fuer die Dauer eines kurzen Augenblicks davon abhalten unbefugt etwas am Desktop anzurichten.

Sobald dieser Unberechtigte mit etwas Hardwarekommt sieht es schlecht aus. Er braucht nur die Bildschirmsperre zu unterbrechen und schon ist er drin.

Ich verwende GNOME, falls das einen Unterschied machen sollte. Unter dem Menüpunkt "System" gibt es da den Punkt "Bildschirm sperren". Und bei den Bildschirmschoner-Einstellungen kann man auch wählen, dass der Bildschirm automatisch gesperrt werden soll, wenn der Bildschirmschoner angeht.

Wie darf man sich "etwas Hardware" vorstellen? Ist diese Sperre leicht (mit üblichen Mitteln / bekannt wie) zu umgehen, oder meinst du damit eher, dass nur Profis eine Chance haben? Wie sieht so eine Unterbrechung der Bildschirmsperre aus?

Kann man den Schlüssel (einfach?) ändern?

Ja, kann man ändern.
Du kannst auch mehrere Schlüssel und/oder Key-Files anlegenn

[...]

Doch ist möglich, da mit dem Benutzer-Schlüssel lediglich der Master-Key verschlüsselt wird.
Mit diesem Master-Key sind dann die Daten verschlüsselt.
Es wird also immer nur das Passwort bzw. das Key-File geändert, mit dem der Master-Key selbst verschlüsselt ist.
Den Master-Key kennt der Benutzer gar nicht und er wird bzw. kann auch niemals geändert werden.

Oha, interessant. Das heißt also, dass die Verschlüsselungsstärke nicht direkt von der Länge/Beschaffenheit des während der Installation gewählten Schlüssels (= Benutzerschlüssel) abhängt? Man sollte also "nur" deshalb einen langen/kryptischen Benutzerschlüssel wählen, um Bruteforce zu erschweren. - Was natürlich unterm Strich "praktisch" keinen Unterschied macht, denn der Benutzerschlüssel ist ja die "Tür", egal wie stark die Verschlüsselung wirklich ist.

Wo/wie kann man denn weitere Benutzerschlüssel anlegen?

Achja, und da fällt mir gerade noch eine Frage ein:
wenn man die Home-Partition behalten und ein anderes GNU/LInux installieren möchte -> hat man überhaupt die Möglichkeit bei dieser Vollverschlüsselung? Kann man die Verschlüsselung also deaktivieren bzw. kann man die Verschlüsselung bei der Neuinstallation "übernehmen"? Oder ist es dann so, dass man zwei versch. Verschlüsselungen hat: beim Hochfahren die neue Verschlüsselung, und dann nochmal für die Home-Partition den alten Schlüssel angeben?

[Danielx]

Das heißt also, dass die Verschlüsselungsstärke nicht direkt von der Länge/Beschaffenheit des während der Installation gewählten Schlüssels (= Benutzerschlüssel) abhängt?

Ja, genau.

Man sollte also "nur" deshalb einen langen/kryptischen Benutzerschlüssel wählen, um Bruteforce zu erschweren.

Ja.
Bruteforce wird beim Benutzerschlüssel übrigens dadurch erschwert, dass eine sehr hohe Zahl an Iterationen gewählt wird, so in etwa 100000 bis 300000.
Beim Master-Key sind es dann lediglich 10 Iterationen, dafür wird meist kein so langer Benutzerschlüssel vom Benutzer gewählt.
Die Anzahl der Iteration ist beim Master-Key deshalb so gering, weil die Entschlüsselung der Daten sonst zu lange dauern würde und ja sowieso garantiert ist, dass der Master-Key die volle Länge hat.

Wo/wie kann man denn weitere Benutzerschlüssel anlegen?

"man cryptsetup" sagt:

Code: Alles auswählen

luksAddKey <device> [<new key file>]

Für Details einfach mal die Manpage genauer ansehen.

Kann man die Verschlüsselung also deaktivieren bzw. kann man die Verschlüsselung bei der Neuinstallation "übernehmen"?

Das dürfte nicht einfach sein, ein Umkopieren der Daten in das neue System dürfte deutlich einfacher sein.
Es handelt sich ja bei /home auch nicht um eine Partition, sondern um ein logisches Volume in einem verschlüsselten LVM.

Gruß,
Daniel

[arezar]

Standby und Ruhemodus funktionieren nicht bei einem verschlüsseltem Swap außer es hat sich seit Lenny daran was geändert.

Das funktioniert!
Und zwar nicht erst seit Lenny, sondern auch schon unter Etch.

Hab nochmal nachgelesen und seit Suspend2 scheint` s zu funktionieren. Wer lesen kann ist eindeutig im Vorteil. Bei meinem Sony Vajo hat Standby und Ruhezustand bis jetzt noch nie funktioniert mit oder ohne Verschlüsselung. Hab` s ehrlich gesagt auch noch nicht wirklich probiert das zum Laufen zu bringen, auch wenn es ne angenehme Sache wär. Mit Kernel 2.6.29 soll ja eine bessere Unterstützung für diese Modi bereitstehen.

Dürfte nicht so ohne weiteres möglich sein da mit dem Schlüssel sämtliche Dateien auf dem Dateisystem verschlüsselt werden.

Doch ist möglich, da mit dem Benutzer-Schlüssel lediglich der Master-Key verschlüsselt wird.
Mit diesem Master-Key sind dann die Daten verschlüsselt.
Es wird also immer nur das Passwort bzw. das Key-File geändert, mit dem der Master-Key selbst verschlüsselt ist.
Den Master-Key kennt der Benutzer gar nicht und er wird bzw. kann auch niemals geändert werden.

Wusste ich bis jetzt nicht ist aber die logische Folge. Mercy Danielx, wieder was dazugelernt.

[Danielx]

Bei meinem Sony Vajo hat Standby und Ruhezustand bis jetzt noch nie funktioniert mit oder ohne Verschlüsselung.

Ich weiß nicht, ob das so deutlich herüber gekommen ist, aber wenn Suspend-to-disk unverschlüsselt funktioniert, dann funktioniert es auch verschlüsselt, also mit verschlüsseltem LVM (so wie es eben der Installer einrichtet), das macht dann keinen Unterschied.
Bei Suspend-to-ram macht es natürlich erst recht keinen Unterschied, ob verschlüsselt oder unverschlüsselt.
Nur zur Klarstellung, falls es denn je unklar war.

Gruß,
Daniel

[arezar]

Wobei /dev/hdaX durch dein Devicenummer zu ersetzen ist, bei mir ist das /dev/hda5. Hab ich jetzt aus dem Linux Magazin 10/06 wo es um die Vollverschlüsselung eines Debian Systems geht, allerdings noch ein Sarge, wo es noch keine Möglichkeit einer vollständig verschlüsselten Installation geht. Den Artikel dazu findest du hier:

http://www.linux-magazin.de/heft_abo/au ... category=0

Hier noch ein Vergleichstest zwischen verschiedenen Verschlüsselungsarten unter Linux. Nicht mehr ganz taufrisch aber evtl. trotzdem informativ.

http://www.linux-magazin.de/heft_abo/au ... category=0

Wie ich da schon geschrieben hab bezieht sich der obige Link auf Debian Sarge. Da stand, dass das noch nicht möglich ist, weshalb ich auch geschrieben hatte das sich Suspend to Disk mit verschlüsseltem swap gegenseitig ausschliesst. Erst mit Suspend2 sollte das möglich sein was aber anscheinend bereits in Etch eingeflossen ist.

Wie gesagt ganz taufrisch sind beide Artikel nicht, dachte halt der Vergleichstest wäre interessant. Außerdem sind wir ja bereits bei Debian Lenny und somit erübrigt sich das Ganze eh.

Gruß
arezar

[Dogge]

Weiß jemand wie der aktuelle Status ist?
Da ich häufig mein Laptop nur zuklappe führe ich ja damit die Verschlüsselung ad absurdum, da man das Laptop nur aufklappen muss und sofort loslegen kann.
Gibt es eine Möglichkeit, dass auch beim Zuklappen verschlüsselt wird und ich beim Aufwachen wieder mit der Passphrase entschlüsseln muss?

Ich habe im Internet nur diese Anleitung gefunden [1], aber nach folgendem Satz denke ich, dass ich mit der nicht weit komme:

Dieses How-To will eine Anleitung sein, wie man unter Debian GNU/Linux (aktuell Etch/testing)

[1] https://wiki.koeln.ccc.de/index.php/Sus ... Cryptodisk